首页
论坛
课程
招聘
[原创]海莲花APT组织样本分析
2021-12-16 20:30 15723

[原创]海莲花APT组织样本分析

2021-12-16 20:30
15723

此样本是从网络搜集下载,用以个人研究,不足之处请多指教!!

话不多说,直接开干,经典的图标伪装,伪装成一个DOC文档,以为换个马甲就不认识你了,哼哼!!
图片描述
朋友来了有好酒 敌人来了有猎枪,先上老三样
自解压格式
图片描述
图片描述
图片描述
图片描述
好了,是骡子是马拉出来溜溜吧!!

图片描述
好家伙,一窝全是,您可真能生!!!!

 

李鬼就是李鬼,弄个假的看不起谁呢。。。。
图片描述
里应外合,谋财害命
图片描述
爬我墙头,我呸,真猥琐
图片描述
图片描述
意料之中
图片描述
图片描述
图片描述
小结:经典的白+黑加载方式,先释放白+黑程序,然后启动白程序MicrosoftUpdate.exe,再通过MicrosoftUpdate.exe加载SoftwareUpdateFiles.Resources下的 SoftwareUpdateFilesLocalized.dll恶意程序

使用OD详细分析

读取SoftwareUpdateFiles.locale中的内容
图片描述
解密数据
图片描述
执行解密后的数据,(因为中途跑飞了所以地址有一点变化,不影响分析,忽略即可)
图片描述
生成假文档迷惑用户
图片描述

 

通过LoadLibrary和GetProcAddress获取函数地址

 

图片描述

 

最后退出程序
图片描述

 

先分析到这里,下次继续!!


【公告】看雪招聘大学实习生!看雪20年安全圈的口碑,助你快速成长!

最后于 2021-12-18 11:49 被寒江独钓_编辑 ,原因:
上传的附件:
收藏
点赞0
打赏
分享
最新回复 (12)
雪    币: 1333
活跃值: 活跃值 (1952)
能力值: ( LV4,RANK:40 )
在线值:
发帖
回帖
粉丝
blck四 活跃值 2021-12-17 11:46
2
0
图1是什么工具,LZ。
雪    币: 151
活跃值: 活跃值 (503)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
contain_of 活跃值 2021-12-17 12:02
3
0
blck四 图1是什么工具,LZ。
Detect-It-Easy
雪    币: 13079
活跃值: 活跃值 (284)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
TWater 活跃值 2021-12-17 19:27
4
0
给个哈希呗
雪    币: 250
活跃值: 活跃值 (443)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
寒江独钓_ 活跃值 2021-12-18 11:46
5
0

附件是样本

最后于 2021-12-18 11:51 被寒江独钓_编辑 ,原因:
雪    币: 250
活跃值: 活跃值 (443)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
寒江独钓_ 活跃值 2021-12-18 11:46
6
0
TWater 给个哈希呗

看附件

最后于 2021-12-18 11:50 被寒江独钓_编辑 ,原因:
雪    币: 136
活跃值: 活跃值 (231)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
阿龙正罡 活跃值 2021-12-22 23:56
7
0
学习一下
雪    币: 139
活跃值: 活跃值 (651)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
五毒女 活跃值 2021-12-23 08:41
8
0
大佬,样本溯源怎么做,怎么知道这个样本就是海莲花组织的呢
雪    币:
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
multi-core 活跃值 2022-3-2 14:41
9
0
学习了
雪    币:
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
multi-core 活跃值 2022-3-2 15:56
10
0
附件解压密码多少
雪    币: 276
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
Get01d 活跃值 2022-3-7 22:00
11
0
哇呜~好专业的样子
雪    币: 276
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
Get01d 活跃值 2022-3-9 10:36
12
0
multi-core 附件解压密码多少
同问
雪    币: 250
活跃值: 活跃值 (443)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
寒江独钓_ 活跃值 2022-3-10 11:31
13
0
Get01d 同问
threatbook
游客
登录 | 注册 方可回帖
返回